CVE-2026-64960 in ATutor
Sumário
de VulDB • 20/08/2026
O módulo Gameme do ATutor permite que os usuários façam upload de arquivos de qualquer tipo e extensão sem restrições. Devido ao tratamento inadequado dos uploads de arquivo, os arquivos são armazenados em um local acessível via web antes que seu conteúdo seja validado. Um atacante autenticado que conhece um course_id válido pode fazer o upload de um script malicioso executável no servidor. O arquivo carregado pode então ser solicitado via HTTP, resultando na execução remota de código (RCE) como usuário do processo do servidor web. Na maioria dos casos, é possível usar course_id=0, pois ele comumente representa o contexto global.
O produto não recebe mais suporte ativo e as vulnerabilidades não foram corrigidas. Apenas a versão 2.2.4 foi testada e confirmada como vulnerável; outras versões não foram testadas, mas também podem estar vulneráveis.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.